美国公用事业企业CenterPoint Energy确认客户数据泄露：API缺失限流与WAF致749万条记录被批量遍历窃取

事件由攻击方主动曝光触发。使用别名“4d722e4d656f77”的威胁行为者声称窃取了749万条客户记录并在犯罪论坛兜售，内容包括客户姓名、电话号码、服务与账单地址、账号、账单金额以及部分社保号。据披露的泄露窗口为2026年8月17日至9月1日，企业被迫在自身调查完成前先行披露，这一“勒索方与受害企业竞速公告”的模式已成为2026年数据泄露披露的常态。

技术细节显示，攻击路径是一条公开的应用程序编程接口（API）。威胁行为者称通过遍历数百万个ID批量拉取数据，该接口缺乏访问限流（rate limiting）、Web应用防火墙（WAF）等基础防护。这意味着在具备正常API网关异常检测能力的环境下，此类批量拉取本应在数小时内被识别，而非持续两周。

CenterPoint表示电力与天然气运营未受中断，已启动事件响应流程、聘请外部网络安全专家、加固系统防护，并已向监管机构与执法部门报告，将在确定范围后依法通知受影响客户。事件已引发多起联邦法院的拟议集体诉讼，企业在SEC文件中表示预计不会对经营与财务状况产生实质性影响，相关支出部分由网络安全保险覆盖。

此案对关键信息基础设施运营者的合规提示是：运营技术（OT）与信息技术（IT）的隔离能保护物理服务连续性，却无法保护存放于IT侧计费与账户管理系统中的客户数据。随着公用事业企业数字化客户门户、智能表计与移动账单应用，其个人信息攻击面已与电商、金融科技企业相当。对外的API清单管理、限流、WAF与异常告警，应作为个人信息安全保护义务的基线配置纳入合规自查。